搭建一个 802.1x 的 web 测试服务
前言
802.1x 是一种二层认证协议，结合 EAP，它能够为无线网络提供安全的，无感知的认证服务。因此许多大型的园区网都选择使用 802.1x 作为无线网络的认证模式。
大名鼎鼎的 eduroam 也是完全基于 802.1x 认证的全球无线漫游网络。
由于 802.1x 的特性，在进行基于 802.1x 的无线认证时，对终端本身有一定的要求。因此 802.1x 的无线网络排障就比较讨厌，因为其中有相当一部分属于终端侧的配置或兼容问题。
对于 eduroam 漫游时就更加麻烦了，管理员很难确认到底是漫游所在地的 eduroam-sp 存在问题，还是账号所在地的 eduroam-idp 认证存在异常。
因此，最好能有一个基于 web 的 802.1x 认证测试服务，管理员测试一下就知道是哪边出的问题。
这样的服务国外有学校提供，例如这个 Masarykova univerzita
现在我们来自己实现一个
轮子
要做这件事，核心的功能就是要构造模拟的认证报文，并且需要结合
EAP。考虑到普遍性，最先应该支持的应该是 mschapv2 这个。所以当然是先找轮子。。。
https://github.com/Bonn93/radius-python-sanity-check
找到了轮子，测试可以进行 mschapv2 的验证，剩下的事情就好办了，在轮子的基础上封装就好了
需求
先整理一下需求：
- 我们需要一个 web 表单，让用户输入他的用户名和密码进行测试，并返
回结果 - 不同的 SSID 应该能生成对应不同的表单页面
- 得加一个验证码来防止坏人猜密码
- 最好再有个 API 可供程序调用，这样可以构建自动化的监控
- API 得有访问控制
实现
因为轮子是 Python 的，所以整个服务肯定也就用 Python 来实现了，用 flask 来做。下面做一些简单的介绍，完整代码见 GITHUB
目录结构如下：
├── app
│ ├── framd.ttf #字体文件，用来生成验证码的
│ ├── __init__.py
│ ├── static # 静态文件,css,js 之类的
│ ├── templates # web 模板
│ ├── utils.py
│ └── views.py
├── config.py # 配置文件
├── control # 启动脚本
├── gunicorn.conf # gunicorn 的配置文件
├── lib # radius 报文的封装 lib（就是我们找的那个轮子）
│ ├── bidict.py
│ ├── client.py
│ ├── dictfile.py
│ ├── dictionary.py
│ ├── dicts
│ ├── host.py
│ ├── __init__.py
│ ├── mschap2.py
│ ├── packet.py
│ └── tools.py
├── LICENSE
├── README-CN.md
├── README.md
├── requirement.txt
├── run.py
└── var
└── app.log
先从 config.py 说起，我们的配置都放在这儿
# BASIC APP CONFIG
BIND_ADDRESS = '0.0.0.0'
PORT = 81
SECRET_KEY = "session_secret_key" # 建立 session 所使用的 key，session 用来存验证码
# SSID CONFIG
SSID_CONFIG = {
"test1x":
{"RADIUS_HOST":"192.168.0.210","RADIUS_SECRET":"802.1x","RADIUS_PORT":1812,"NAS_IP":"192.168.80.5"},
"eduroam":
{"RADIUS_HOST":"192.168.0.220","RADIUS_SECRET":"eduroam","RADIUS_PORT":1812,"NAS_IP":"192.168.80.5"},
}
# 字典的 key 将作为 url 的路径，例如 https://test.edu.cn/test/eduroam
# API_KEY
API_KEY = "0c8d964e8fbd4cfcd040b5691d119968"
因为我们的无线网络可能有多个 SSID，并且不同的 SSID 对应的后端是不同的 Radius。因此需要根据每个 SSID 配置不同的 Radius 配置。这里的 SSID ，同时也会成为最后生成的测试 URL，例如 https://test.example.cn/test/eduroam
挑战报文
def radius_challenge(username, password, host, secret, port, nasip, debug):
hostname = gethostname()
dict_path = sys.path[0] + "/lib/dicts/dictionary"
radius = Client(server = host, secret = secret, authport = port, dict = Dictionary(dict_path))
request = radius.CreateAuthPacket(code = packet.AccessRequest)
if debug:
print "[DEBUG] assembling packet attributes"
request["User-Name"] = username
request["NAS-IP-Address"] = nasip
request["NAS-Identifier"] = hostname
……
……
我们把轮子里的代码重新封装一下，构造一个函数出来负责发送 Radius 挑战报文。后面就用调用它来做 Radius 的测试
验证码
由于我们提供的是一个开放的测试表单，因此必须要有验证码，否则坏人就要暴力猜密码叻。我们使用 PIL 库进行验证码图像的生成，并把验证码图像对应的数字存在 session 里面。
@app.route('/code', methods=['GET'])
def code():
"""生成验证码
"""
from io import BytesIO
output = BytesIO()
code_img, code_str = create_validate_code() # 生成验证码的函数，在 utils.py 里
code_img.save(output, 'jpeg')
img_data=output.getvalue()
output.close()
response = make_response(img_data)
response.headers['Content-Type'] = 'image/jpg'
session['code_text'] = code_str # 把正确的验证码数字放进 session 里待校验
return response
表单
@app.route('/test/<string:ssid>', methods=['GET','POST'])
def radius_test(ssid):
ssid_config = app.config['SSID_CONFIG']
if ssid not in ssid_config:
return "404 page not found",404
if request.method == 'GET':
return render_template('radius1x.html',ssid=ssid)
……
……
根据配置不同的 SSID 生成不同的表单 URL，通过校验 session 中的验证码来判断验证码是否正确。然后将收到的用户名和密码发送给 Radius 做测试
API
@app.route('/api/v1/<string:ssid>', methods=['POST'])
def radius1x_api(ssid):
ssid_config = app.config['SSID_CONFIG']
if ssid not in ssid_config:
return "404 page not found",404
……
……
提供 API 的接口，供程序来调用，通过配置文件中的 API_KEY 进行鉴权
部署
flask 内置了一个 WSGI 服务器，我们测试的时候可以 python run.py 直接跑起来。然而一来这样没法后台运行，二来 flask 内置的 WSGI 性能有点寒碜的，我们得通过其他方法来做生产环境的部署
我们使用 gunicorn 来进行作为生产环境的 WSGI 服务，然后参考 Open-Falcon 里 Dashboard 的控制方式，我们来抄一下它的 Control 脚本~
#!/bin/bash
WORKSPACE=$(cd $(dirname $0)/; pwd)
cd $WORKSPACE
mkdir -p var
module=1xtest
app=radius-$module
pidfile=var/app.pid
logfile=var/app.log
function check_pid() {
if [ -f $pidfile ];then
pid=`cat $pidfile`
if [ -n $pid ]; then
running=`ps -p $pid|grep -v "PID TTY" |wc -l`
return $running
fi
fi
return 0
}
function start() {
source env/bin/activate
hash gunicorn 2>&- || { echo >&2 "I require gunicorn but it's not installed. Aborting."; exit 1; }
check_pid
running=$?
if [ $running -gt 0 ];then
echo -n "$app now is running already, pid="
cat $pidfile
return 1
fi
gunicorn -c gunicorn.conf run:app -D -t 6000 --pid $pidfile --error-logfile $logfile --log-level info
sleep 1
echo -n "$app started..., pid="
cat $pidfile
}
……
……
这样就可以使用 ./control start,./control stop 来进行服务启停了。
最后再给他套一层 nginx 作为反向代理，把 ssl 证书部上，提供 https 服务。同时再做一个 http 到 https 的重写，这样就差不多了。
运行截图
image.png
[root@host ~]# curl -H "Content-Type: application/json" -d '{"username":"test01@test.edu.cn","password":"test123","token":"0c8d964e8fbd4cfcd040b5691d119968"}' "https://test.edu.cn/api/v1/eduroam"
{
"result": {
"method": "mschapv2",
"success": true,
"time": 0.36426687240600586,
"username": "test01@test.edu.cn"
}
}
联盟监控
eduroam 是一个全球的无线漫游联盟，利用 Radius Proxy 来实现的。进行 eduroam 认证的时候需要讲自己的用户名加上@域名，例如 username@ecnu.edu.cn，eduroam-sp 则将 radius 认证请求转发给上一级节点，上级节点再根据域名转发给对应的节点/或者再向上级转发，和 dns 有点像的。
中国教科网在 2015 年也加入了 eduroam，目前国内有 50 余所高校都提供 eduroam 的全球漫游服务。想想自己的账号跑到其他学校也能直接上网，这确实是件蛮爽的事情。
然而对于 eduroam 的联盟运维而言，联盟规模越大，运维越是麻烦。每个节点出故障的概率如果是0.1%，50 个节点至少有一个出故障的概率就是4.9%，联盟规模越大，出故障的概率越高。对于联盟的运维而言，我们需要能够快速发现故障，快速定位，快速修复。
因此我们可以考虑从每个 eduroam-idp 讨一个测试账号。做一个探针脚本调用 API 进行逐个测试，把测试结果推到监控平台里面。
于是我们就可以完整的监控到每一个 eduroam-idp 的服务是否可用，响应时间，并在宕机的时候及时的发出告警。从而提升整个联盟的运维水平
